密碼強度測試器 (熵 + 破解時間)
輸入密碼 (僅瀏覽器內, 永不傳輸)。測試器計算熵、字元集覆蓋、字典匹配風險, 顯示離線 GPU 攻擊、線上 API 限制、慢速線上攻擊的預估破解時間。
運作原理
密碼「熵」是什麼
熵以位測量不可預測性。30 位熵的密碼平均需要 2³⁰ ≈ 10 億次猜測才能破解。70+ 位通常被視為強; 80+ 位優秀。
公式: 熵 = 長度 × log₂(字元集大小)。'abcdefgh' (8 字元, 僅小寫) = 8 × log₂(26) ≈ 37.6 位。'aA1!aaaa' (8 字元, 全字元集) = 8 × log₂(95) ≈ 52.6 位 — 但破解時間比 52 位暗示的差得多, 因為 'aaaa' 是常見模式。
破解時間為何差異巨大
離線 GPU: 洩露的密碼雜湊被離線攻擊。現代 GPU 每秒可猜 10⁹+ MD5 雜湊; bcrypt 雜湊每秒只 10⁴-10⁵。這裡的預估假設 GPU 快速雜湊。
線上快速: 攻擊者直接攻擊登入 API。多數 API 有某種速率限制; 1000 次/秒是防禦薄弱端點的高階預估。
線上慢速: 有嚴格速率限制、賬戶鎖定和 CAPTCHA 的良好防禦端點。100 次/秒慷慨; 許多系統每分鐘只允許 5-10 次。
這些預估忽略實際世界因素如字典攻擊 (比暴力破解更快找到常見密碼) 和密碼重用 (破解一個網站的洩露幫助破解其他)。
什麼使密碼強
長度勝複雜度: 16 字元密碼短語 'correct horse battery staple' 比折磨的 8 字元 'P@ssw0rd!' 更強。2011 年 XKCD 見解仍成立: 4 個隨機單詞給 ~44 位熵。
避免模式: 日期、名字、'123'、'qwer'、重複字元都減少實際熵到公式值以下。攻擊工具包括廣泛的「基於規則」變換 (如 'password' → 'P@ssw0rd!')。
用密碼管理器: 人類選模式; 管理器不會。Bitwarden、1Password、KeePass 每個網站生成真隨機 16+ 字元全字元集密碼。你需要記住的只有主密碼 — 那個應該是長記憶短語。
常見問題
›我的密碼會發到任何地方?
不會。一切在你瀏覽器內本地執行。我們不看、不儲存、不傳輸你的密碼。
›為什麼我的長密碼顯示低熵?
長度不是一切 — 重複 'a' 50 次實際熵很低。計算器用簡單公式但標記重複/順序模式。最佳結果: 長、多樣、無模式。
›破解時間準嗎?
基於樸素暴力破解的預估。真實破解者先用字典、常見模式、洩露密碼資料庫 — 「常見」密碼即使公式熵高也可能秒破。
›應該擔心量子計算機?
最終是 — Grover 演算法把對稱加密的有效位減半。128 位等效對稱金鑰後量子需要 64+ 位等效。現在 80+ 位熵舒適; 128+ 位用於非常長期的秘密。
›為什麼標記 'P@ssw0rd1' 即使有全字元集?
因為 'password' 在字典中, 簡單替換 (P → P、a → @) 是每個破解工具規則集的一部分。用真隨機或短語風格密碼, 不是常見詞替換。
›'correct horse battery staple' 真的安全嗎?
合理。7000 詞列表中 4 隨機詞 = ~52 位熵。比多數 8 字元複雜密碼強。但出名後 (像這個例子) 它在字典中 — 選你自己的隨機詞。
›應該用的最小密碼長度?
8 是最低 (且僅所有字元集)。12+ 推薦多數賬戶。16+ 用於重要 (郵件、銀行、密碼管理器主)。
›大小寫敏感重要嗎?
重要 — 加大寫從 26 到 52 翻倍字元集。每字元約 +1 位。有意義混合 (不僅首字母) 值得做。
相關工具
最後更新: